EU AI Act : le guide pratique pour les entreprises europeennes

L'EU AI Act est entré en vigueur le 1er août 2024. Ses exigences s'appliquent par étapes : pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, gouvernance et obligations pour l'IA à usage général depuis le 2 août 2025, puis la plupart des autres dispositions à partir du 2 août 2026. Certaines exigences à haut risque suivent un calendrier plus tardif.

Pour les entreprises, cela signifie naviguer parmi de nouvelles obligations, des categories de risques et des exigences de conformite. La question qui occupe de nombreux conseils d'administration : concretement, qu'est-ce que cela change pour nos initiatives IA ?

Le règlement repose sur le risque et ne constitue pas une interdiction générale. La classification dépend de la finalité prévue et du contexte de déploiement. Certains usages liés à l'emploi ou à d'autres domaines sensibles peuvent être à haut risque, tandis que d'autres assistants sont surtout soumis à des obligations de transparence.

Le defi : beaucoup d'organisations ne comprennent pas encore dans quelle categorie se situent leurs systemes d'IA, quelles obligations s'appliquent et comment demontrer leur conformite.

Cet article propose un guide pratique. Pas de jargon juridique, mais des reperes concrets. A la fin de votre lecture, vous saurez quelles categories d'IA existent, ou vos applications se situent probablement et quelles demarches entreprendre.

La structure : l'IA classifiee par niveau de risque

L'EU AI Act adopte une approche fondee sur le risque. Toutes les IA ne se valent pas : un chatbot qui repond a des questions sur un produit est fondamentalement different d'un systeme qui decide de l'octroi d'un pret immobilier. La legislation le reconnait et etablit quatre categories :

Categorie 1 : risque inacceptable (interdit)

Certaines applications d'IA sont purement et simplement interdites dans l'UE :

• Systemes de notation sociale (comme en Chine)
• Identification biometrique dans les espaces publics (avec des exceptions pour le maintien de l'ordre)
• IA manipulatrice exploitant des groupes vulnerables
• Reconnaissance des emotions sur le lieu de travail et dans l'enseignement

Cette categorie est sans ambiguite : c'est interdit. Les amendes vont jusqu'a 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Categorie 2 : risque eleve

Les systemes d'IA ayant un impact significatif sur les droits et la securite des personnes :

• Decisions de credit et tarification d'assurance
• Recrutement et selection (tri de CV, entretiens)
• Enseignement : admission et evaluation
• Infrastructures critiques
• Diagnostics medicaux
• Maintien de l'ordre

Pour l'IA a haut risque, des obligations strictes s'appliquent :

• Evaluation et attenuation des risques
• Exigences de qualite des donnees
• Documentation technique
• Supervision humaine
• Enregistrement dans la base de donnees de l'UE
• Evaluation de conformite

Obligations de transparence pour certains systemes d'IA

La version finale de l'AI Act ne fait pas du "risque limite" une classification universelle des produits. L'article 50 fixe des obligations de transparence pour certains systemes et contenus, notamment :

• Chatbots et IA conversationnelle
• Contenu genere par l'IA
• Detection des emotions (hors contextes interdits)
• Categorisation biometrique

Selon le systeme, les obligations peuvent comprendre :

• Informer les utilisateurs qu'ils communiquent avec une IA
• Signaler clairement le contenu genere par l'IA
• Marquage de certains contenus generes ou manipules par l'IA

Categorie 4 : risque minimal

Systemes d'IA sans obligations specifiques :

• Filtres anti-spam
• IA dans les jeux video
• Optimisation des stocks

Seule l'obligation generale d'utiliser l'IA "de maniere responsable" s'applique.

Ou se situent les assistants de connaissances en entreprise ?

Un assistant de connaissances n'est pas automatiquement a haut risque. Sa classification depend de sa finalite et de son usage reel. Les obligations de transparence de l'article 50 peuvent s'appliquer aux systemes qui interagissent directement avec des personnes. Un systeme RH qui prend ou influence sensiblement des decisions d'emploi peut en revanche relever d'un usage a haut risque. Exemples qui necessitent une evaluation par cas d'usage :

• Les assistants de politique RH
• Les bases de connaissances juridiques
• L'IA de support informatique
• Les systemes de recherche internes

L'obligation de transparence signifie en pratique que les utilisateurs doivent savoir qu'ils interagissent avec une IA et, en cas de doute, pouvoir identifier l'origine de l'information.

Point cle : Classez le cas d'usage, pas seulement l'etiquette du produit. Un assistant de recherche documentaire et un systeme de decision d'emploi peuvent avoir des obligations tres differentes.

Les obligations essentielles : que devez-vous faire ?

Les obligations dependent du systeme, du role de fournisseur ou de deployeur, de la finalite et du contexte de deploiement.

Obligations de transparence (article 50)

1. Declaration IA : les utilisateurs doivent savoir qu'ils interagissent avec un systeme d'IA, et non avec une personne. Cela peut etre simple : "Vous echangez avec un assistant IA."

2. Marquage du contenu : les textes, fichiers audio ou images generes par l'IA doivent etre identifiables comme tels. Pour les systemes internes, cela implique un etiquetage clair.

3. Attribution des sources : bien que cela ne soit pas explicitement requis par l'AI Act, cela s'inscrit dans l'esprit de la loi. Lorsque l'IA genere des reponses, la bonne pratique consiste a afficher les sources.

Exigences de gouvernance

Independamment de la categorie de risque, la loi recommande :

• Registre IA : documenter les systemes d'IA utilises
• Evaluation des risques : evaluer periodiquement l'impact
• Responsabilites : designer un responsable IA
• Formation : veiller a ce que les utilisateurs comprennent le fonctionnement et les limites de l'IA

Le chevauchement avec le RGPD

L'EU AI Act ne remplace pas le RGPD. Les deux se completent. Si votre IA traite des donnees personnelles (ce qui est presque toujours le cas), les deux reglementations s'appliquent :

| RGPD | EU AI Act | |------|-----------| | Base legale du traitement | Classification des risques | | Privacy by design | Exigences de transparence | | Droits des personnes concernees | Supervision humaine | | DPA requis | Documentation technique |

Les organisations qui prennent le RGPD au serieux ont une longueur d'avance : les principes de transparence, de responsabilite et de gouvernance des donnees sont similaires.

Conseil pratique : Si votre conformite au RGPD est deja en ordre, vous disposez d'un avantage. Les principes de privacy by design, de documentation et de responsabilite se transposent directement a la conformite AI Act.

Calendrier : quand chaque obligation entre-t-elle en vigueur ?

• 1er août 2024 : l'AI Act est entré en vigueur
• 2 février 2025 : les pratiques interdites et la maîtrise de l'IA sont devenues applicables
• 2 août 2025 : la gouvernance et les obligations pour les modèles d'IA à usage général sont devenues applicables
• 2 août 2026 : la plupart des autres dispositions deviennent applicables
• 2 décembre 2027 : les règles pour certains domaines à haut risque, dont l'emploi, deviennent applicables selon le calendrier actuel
• 2 août 2028 : les règles pour l'IA à haut risque intégrée à des produits réglementés deviennent applicables

Source : Commission européenne, calendrier de mise en œuvre de l'AI Act.

Le message : vous avez du temps pour vous preparer, mais n'attendez pas le dernier moment.

Amendes et application

L'UE n'est pas avare en sanctions :

• Pratiques d'IA interdites : jusqu'a 35 millions d'euros ou 7 % du CA mondial
• Violations haut risque : jusqu'a 15 millions d'euros ou 3 % du CA
• Informations inexactes aux regulateurs : jusqu'a 7,5 millions d'euros ou 1,5 % du CA

Les autorites nationales de controle sont en cours de designation, mais il est prevu que les autorites existantes (comme la CNIL en France) jouent un role.

Conformite en pratique : de la theorie a la mise en oeuvre

Comprendre la legislation est la premiere etape. La mettre en oeuvre dans votre organisation, c'est la que les choses se complexifient. Voici un plan d'action concret.

Etape 1 : inventaire des systemes d'IA

Cartographiez les systemes d'IA utilises dans votre organisation :

• IA developpee en interne
• Fonctionnalites IA dans les produits SaaS
• Integrations IA tierces
• Experimentations et pilotes

De nombreuses organisations sous-estiment la quantite d'IA qu'elles utilisent deja. Cette "fonction de recherche intelligente" dans votre base de connaissances ? C'est de l'IA. Cette categorisation automatique dans votre systeme de tickets ? Aussi.

Etape 2 : classification des risques

Pour chaque systeme identifie :

• Dans quelle categorie se situe-t-il ?
• Quelles obligations s'appliquent ?
• Quel est le niveau actuel de conformite ?

Conseil : impliquez aussi bien la DSI que la direction juridique. La realite technique et l'interpretation juridique doivent concorder.

Point cle : De nombreuses organisations sous-estiment la quantite d'IA qu'elles utilisent deja. Cette "recherche intelligente" ? De l'IA. Cette categorisation automatique ? Aussi. Commencez par un inventaire complet.

Etape 3 : analyse des ecarts

Identifiez vos lacunes :

• La notification de transparence fait-elle defaut ?
• Les sources ne sont-elles pas tracables ?
• La documentation est-elle absente ?
• Aucune supervision humaine n'est-elle definie ?

Etape 4 : planification des actions correctives

Priorisez en fonction de :

• Le niveau de risque (haut risque en priorite)
• Le calendrier (quand les obligations entrent-elles en vigueur ?)
• L'impact (combien d'utilisateurs, combien de decisions ?)

Etape 5 : evaluation des fournisseurs

Pour l'IA que vous achetez : evaluez les fournisseurs sur :

• L'hebergement des donnees dans l'UE
• Les declarations de conformite a l'AI Act
• Les capacites de transparence
• Les fonctionnalites de piste d'audit

Demandez explicitement : "Comment ce produit m'aide-t-il a respecter l'EU AI Act ?"

Conseil pratique : Integrez la question "Comment ce produit m'aide-t-il a respecter l'EU AI Act ?" dans chaque appel d'offres lie a l'IA. Les fournisseurs qui n'ont pas de reponse claire ne sont pas encore prets.

Le role des achats

La conformite IA commence des l'approvisionnement. Integrez les exigences de l'AI Act dans :

• Les appels d'offres et les criteres de selection des fournisseurs
• Les contrats et les SLA
• Les checklists de due diligence

Ce qu'il faut rechercher dans les solutions d'IA conformes

1. Hebergement dans l'UE : les donnees restent en Europe
2. Fonctionnement transparent : vous pouvez expliquer comment le systeme arrive a ses reponses
3. Attribution des sources : chaque resultat est tracable a son entree
4. Journaux d'audit : qui a demande quoi, quand, et quelle reponse a ete donnee
5. Supervision humaine : possibilite de reexaminer les decisions de l'IA
6. Pas d'entrainement sur les donnees clients : vos donnees n'ameliorent pas le modele pour d'autres

Questions frequentes et idees recues

"Devons-nous arreter l'IA en attendant d'etre conformes ?"

Non. La plupart des IA en entreprise peuvent continuer a fonctionner. L'accent est mis sur la transparence et la documentation, pas sur l'interdiction. Commencez par inventorier et avancez progressivement vers une conformite complete.

"Notre IA de base de connaissances est-elle a haut risque ?"

Pas necessairement. Un systeme limite a la recherche documentaire et aux projets de reponses sourcees differe d'un systeme qui prend ou influence sensiblement des decisions dans des domaines a haut risque, comme l'emploi. Documentez la finalite et faites evaluer le cas d'usage concret.

"Que se passe-t-il si notre fournisseur d'IA n'est pas base dans l'UE ?"

L'AI Act s'applique a l'IA deployee dans l'UE, quel que soit le lieu d'etablissement du fournisseur. Interrogez votre fournisseur sur :

• L'emplacement du traitement des donnees
• L'existence d'options specifiques a l'UE
• La maniere dont il accompagne la mise en conformite

"L'IA open source est-elle exemptee ?"

Partiellement. Les modeles d'IA open source sont dispenses de certaines obligations des fournisseurs, mais si vous les deployez dans votre organisation, les obligations de l'utilisateur final restent applicables.

"Quel est le rapport avec la reglementation sectorielle ?"

L'AI Act fonctionne de concert avec la reglementation existante. Dans les services financiers, la sante et d'autres secteurs reglementes, des exigences supplementaires peuvent s'appliquer. L'AI Act est un socle, pas un plafond.

"Que se passe-t-il si nous n'utilisons que l'IA de Microsoft/Google/AWS ?"

Les grands fournisseurs cloud travaillent a leur conformite, mais la responsabilite du bon usage vous incombe. Leurs outils peuvent etre conformes : c'est votre implementation qui determine si vous l'etes.

Conclusion : la conformite comme avantage concurrentiel

L'EU AI Act est souvent presente comme un obstacle. Mais les organisations visionnaires le voient autrement : c'est une opportunite.

Dans un monde ou les consommateurs et les clients professionnels portent un regard de plus en plus critique sur l'utilisation de l'IA, "nous sommes conformes a l'EU AI Act" est un signal de confiance. Cela communique : nous prenons l'IA au serieux. Nous prenons la vie privee au serieux. Nous prenons vos droits au serieux.

Les organisations qui investissent maintenant dans une IA conforme batissent un socle qui :

• Inspire confiance aux clients et aux collaborateurs
• Minimise les risques face aux legislations futures
• Facilite une adoption plus rapide (moins de resistance)
• Evite la dependance fournisseur (les options hebergees dans l'UE sont transposables)

L'EU AI Act n'est pas la derniere legislation sur l'IA. C'est la premiere. Les organisations qui apprennent a naviguer dans ce paysage des maintenant seront mieux preparees pour la suite.

La question pratique n'est pas "dois-je prendre cela au serieux ?" La reponse est oui. La question est "par ou commencer ?" Et la reponse : commencez par inventorier, classifier et documenter. Cherchez des fournisseurs qui soutiennent la conformite. Et souvenez-vous que la transparence est au coeur de tout.

Une IA digne de confiance commence par une IA que vous pouvez expliquer. Aux utilisateurs, aux regulateurs et a vous-meme.

L'essentiel : L'EU AI Act n'est pas un obstacle mais une opportunite. Les organisations qui investissent maintenant dans une IA conforme construisent une avance de confiance difficile a rattraper.